← España

PS-00708-2014

1/21 Procedimiento Nº PS/00708/2014 RESOLUCIÓN: R/01311/2015 En el procedimiento sancionador PS/00708/2014, instruido por la Agencia Española de Protección de Datos a la entidad BANCO POPULAR ESPAÑOL S.A., vista la denuncia presentada por D. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 9 de junio de 2014 el Director de la Agencia Española de Protección de Datos, por Resolución E/05371/2013, ordenó la apertura de actuaciones previas de investigación E/03242/2014, en relación con la denuncia presentada por D. A.A.A. (en lo sucesivo el denunciante) en el que se declaraba que la entidad BANCO POPULAR ESPAÑOL, S.A. (en adelante entidad denunciada o POPULAR) le venía reclamando desde 2010 una deuda, fruto de la cual incluyó sus datos personales en ficheros de morosidad. Según el denunciante esa deuda fue objeto de una sentencia judicial que desestimaba las pretensiones de POPULAR. Para acreditar estos hechos el denunciante aportó, entre otra, la siguiente documentación de relevancia: - Copia de escrito de 03/01/2013 enviado a su nombre y remitido por PRIME (por PRIME CREDIT 3, S.A.R.L.) y POPULAR, en el que se le informaba de que la deuda por valor de 13.510,15 € que mantenía con POPULAR había sido adquirida por PRIME, que se erige en nuevo acreedor. Se informa de que fruto de ello sus datos personales han sido cedidos a PRIME, que los ha incluido en ficheros de su titularidad de cuyo tratamiento se encarga LINDORFF CONTACT CENTER, entidad a la que puede dirigirse para cualquier consulta. Finalmente, se le informa de que en caso de no proceder al pago sus datos serán incorporados en ficheros de información de solvencia patrimonial y crédito. - Copia de Sentencia nº ***/13 del Juzgado de Primera Instancia e Instrucción nº 1 de Lora del Río, dictada con fecha 22/02/2013, y cuyo fallo establece que se desestima la demanda formulada por POPULAR contra B.B.B. y A.A.A., absolviéndose a los demandados de todas las pretensiones formuladas en su contra. En el Antecedente de Hecho Segundo se expone que la demandante solicitaba que se condenara a los demandados al pago de la cantidad de 14.698,66 €, más los intereses legales. Por su parte, en el Fundamento Jurídico Cuarto se señala que “la parte actora no ha acreditado el momento del incumplimiento, el correcto vencimiento anticipado, ni la cantidad debida, siendo este último extremo indispensable para el dictado de una sentencia estimatoria”. - Copia de escrito de 13/04/2013 remitido por EQUIFAX, en el que se informa C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 de que sus datos personales han sido incluidos en ASNEF por parte de PRIME con fecha de alta 11/04/2013, como consecuencia de una deuda por valor de 13.510,15 €. - Copia de escrito de 04/06/2013 remitido por LINDORFF en el que se le recuerda la existencia de la deuda adquirida por PRIME a POPULAR, y del papel de LINDORFF como encargado de la gestión del cobro. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de Datos de esta Agencia se solicitó información a las entidades más abajo detalladas y se llevaron a cabo las actuaciones de investigación descritas. De esta manera, en el informe de actuaciones de investigación E/03242/2014 se detalla lo siguiente: <<El presente expediente E/03242/2014 se refiere a unos hechos que comparten un fondo común con otros expedientes similares que han sido objeto de tramitación por parte de la AEPD (E/03758/2013; E/03987/2013; E/04010/2013; E/04240/2013; E/05064/2013; E/05906/2013 y E/00075/2014). Ese fondo común se refiere a una operación de compraventa de una cartera de créditos, en la que como vendedores figuran BANCO POPULAR ESPAÑOL SA y BANCOPOPULAR-E SAU, y como compradores constan LINDORFF HOLDING SPAIN SLU y PRIME CREDIT 3 SARL. La AEPD ha tenido acceso a la escritura de elevación a público del contrato de compraventa de la citada cartera de deudas, suscrito a 12/12/2012 (se analiza con más profundidad en el apartado dedicado a la inspección practicada a BANCO POPULAR ESPAÑOL S.A.). EN RELACIÓN A PRIME CREDIT 3 SARL Por lo que a la posición de PRIME CREDIT 3 SARL (en adelante PRIME) se refiere, debe señalarse que esta entidad es una sociedad luxemburguesa con domicilio social en (C/............1) Luxemburgo, que se encuentra inscrita en el Registro de Comercio y Sociedades de Luxemburgo con el número B *******. En España tiene asignado el NIF ***NIF.1 (la clave “N” es asignada por la Agencia Tributaria a las personas jurídicas que carecen de nacionalidad española). La AEPD tuvo conocimiento (en concreto en el marco de las actuaciones desarrolladas en el E/03758/2013) de que PRIME encargó la gestión y recobro de los créditos adquiridos a POPULAR a LINDORFF CONTACT CENTER SLU. En este sentido, LINDORFF CONTACT CENTER SLU (en adelante LINDORFF) actúa como encargado de tratamiento de PRIME. Con fecha 26 de marzo de 2014 dos inspectores de la AEPD se personaron en el establecimiento de LINDORFF, siendo recibidos por representantes de LINDORFF y PRIME. En dicho acto se hizo entrega a la AEPD de una copia del Master Services Agreement suscrito entre ambas entidades el 12/12/2012, documento redactado en inglés que define las circunstancias en que se desarrollará la prestación del servicio por parte de LINDORFF a PRIME. En el marco de dicha inspección los inspectores actuantes solicitaron acceso a los sistemas de LINDORFF a los efectos de realizar las correspondientes comprobaciones en relación a los datos de varias personas (entre ellas el denunciante) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 afectadas por la mencionada venta de cartera. Ante tal requerimiento los representantes de PRIME, esgrimiendo la titularidad que esta entidad ostenta sobre los datos a los que se solicitaba acceso, plantearon la necesidad de valorar si el hecho de facilitar la información requerida podría implicar potencialmente algún tipo de responsabilidad para PRIME, de conformidad con la legislación aplicable a esta entidad. En relación a lo expuesto, con fecha 10/04/2014 tuvo entrada en la AEPD un escrito remitido por PRIME en el que se manifestaba, entre otros extremos, lo siguiente: - Que con fecha 12 de diciembre de 2012 Prime suscribió un contrato de cesión de cartera de créditos con Banco Popular. - Que con fecha 12 de diciembre de 2012, Prime y Lindorff Contact Center SLU suscribieron un contrato marco de prestación de servicios de recobro (“Master Servicing Agreement”). - Que en el contexto de la citada cesión de la Cartera de Créditos, Lindorff, en nombre y por cuenta de Prime, y Banco Popular enviaron una notificación a los deudores informándoles en relación con la cesión de sus créditos por Banco Popular a Prime. - Que Prime considera que una alternativa posible y viable jurídicamente para que la AEPD pueda obtener la información que considere relevante para la investigación, sería que la AEPD coordinara su actuación con la Commision Nationale pour la Protection des Données (“CNPD”), la autoridad nacional de protección de datos en Luxemburgo, país donde Prime está establecida, a efectos de que sea la CNPD la que requiera formalmente, en su caso, la documentación e información oportunas a Prime, de conformidad con las legislaciones aplicables y en consonancia con las normas de competencia jurisdiccional establecidas en el artículo 28 de la Directiva 95/46/CE. Sobre la base de lo expuesto, PRIME ha autorizado a su encargado de tratamiento, LINDORFF, a facilitarle a la AEPD acceso, únicamente, a su documento de seguridad y al Master Services Agreement suscrito entre ambas entidades. En relación al Master Services Agreement (en adelante MSA), se trata de un documento redactado en inglés (no se ha facilitado una versión es castellano) en el que se define el marco de la relación entre ambas entidades. Grosso modo cabe señalar que en la cláusula 4 del contrato se recogen los servicios que LINDORFF debe prestar a PRIME. Por su parte, la cláusula 5 del MSA se dedica a definir la política de seguridad a implementar por parte de LINDORFF. Igualmente debe señalarse que en el MSA se identifica como “Polo” al contrato de compraventa de 12/12/2012 suscrito por PRIME con POPULAR, existiendo un anexo específico (Polo Schedule) referido a las condiciones concretas de los servicios referidos a esta cartera de créditos. En el apartado 2 de dicho anexo se detallan los servicios a prestar por parte de LINDORFF. Con fecha 07/05/2014 se solicitó a PRIME información relativa a D. A.A.A., NIF ***NIF.2. El requerimiento de información fue correctamente recibido el 12/05/2014, como acredita el correspondiente acuse de recibo debidamente incorporado al expediente. El requerimiento fue remitido a la (C/............2) Madrid, dirección a la que con anterioridad la AEPD ya había enviado requerimiento de información dirigidos a PRIME, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 habiéndose recibido respuesta a los mismos en nombre de esta entidad (a título ilustrativo véase E/04010/2013). Con fecha 21/05/2014 tuvo entrada en la AEPD como respuesta al requerimiento de 07/05/2014 referido ut supra, escrito remitido por COBRALIA SERVICIOS INTEGRALES DE RECUPERACIÓN S.L. (en adelante COBRALIA), entidad que se identifica como compañía prestadora de servicios dedicada, entre otras actividades, al recobro de la morosidad derivada de toda clase de operaciones financieras. En este sentido, señala que entre PRIME y COBRALIA existe un contrato de prestación de servicios para la gestión de determinadas operaciones, siendo PRIME cliente suyo. En este contexto, COBRALIA expone que en el marco del contrato suscrito con PRIME no existe ninguna operación con los datos de A.A.A., de modo que señalan que no son encargados del tratamiento de los mismos. Aportan dos impresiones de pantalla que reflejan que, al realizar una búsqueda en sus sistemas utilizando alternativamente el DNI y el nombre y apellidos del denunciante, el sistema arroja el mensaje “No se encontraron expedientes con ese criterio de búsqueda”. INSPECCIÓN EN BANCO POPULAR ESPAÑOL S.A. Con fecha 11/04/2014 se personaron en las dependencias de POPULAR dos inspectores de la AEPD a los efectos de practicar las pertinentes actuaciones de inspección. En el marco de dicha inspección se realizaron las siguientes comprobaciones: - Los representantes de POPULAR manifiestan que con fecha 12 de diciembre de 2012 esta entidad y BANCOPOPULAR-E SAU suscribieron con LINDORFF HOLDING SPAIN SLU (en adelante LINDORFF) y PRIME CREDIT 3 SARL (en adelante PRIME) un contrato de compraventa de una cartera de créditos, fruto del cual LINDORFF y PRIME se subrogaron en la posición acreedora de esos créditos. Los representantes de la entidad manifiestan que con fecha 31/12/2012 fue suscrita una escritura complementaria a los efectos de actualizar los datos de la cesión a fecha 12/12/2012. - Los inspectores actuantes solicitaron a los representantes de la entidad que expusieran las condiciones en que se produjo la citada cesión de cartera y, en particular, en relación a la comunicación de dicha cesión a las personas afectadas. Al respecto, los representantes de la entidad hicieron las siguientes manifestaciones: o Junto con el contrato se depositó ante notario unos CD conteniendo la información relativa a todas las deudas objeto de cesión (fecha de antigüedad, datos personales de deudor, tipo de producto, importe, etc.). En la cláusula 1.4 del contrato se describe el tipo de datos contenidos en los CD. Los representantes de la entidad manifestaron que el total de la cartera de cesión incluía, aproximadamente, unos 160.000 créditos, de los cuales en torno a un 25% fueron cedidos a LINDORFF y sobre un 75% fueron cedidos a PRIME. Los representantes de la entidad expusieron que los créditos tenían el carácter de fallidos, teniendo como deudores tanto a personas físicas como a personas jurídicas. Además, esos créditos podían estar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 judicializados o no en el momento de la cesión. Finalmente, respecto a su antigüedad, manifestaron que la fecha de calificación como fallidos data de mayo de 2007 en adelante. o En relación al envío de comunicaciones enviadas a los deudores informando de la cesión de su deuda, los representantes de POPULAR manifestaron que para el envío de tales comunicaciones el comprador suscribió un contrato de prestación de servicios con una tercera empresa independiente (PROMARBA), que se encargaría de la gestión del envío de estas comunicaciones utilizando los servicios de UNIPOST y CORREOS. Manifestaron los representante del POPULAR que la comunicación de la cesión era una tarea de cuya gestión se responsabilizaron los compradores de la cartera. o Respecto a posibles reclamaciones recibidas en LINDORFF y PRIME de parte de los afectados, los representantes de POPULAR manifestaron que existe un diálogo permanente con las entidades compradoras, que trasladan a POPULAR todas las quejas y reclamaciones que puedan plantearse por parte de los afectados, estudiándose cada caso. En este sentido, los representantes de POPULAR manifiestan que esta entidad suscribió sendos Convenios de Protección de Datos, fechados a 12/12/2012, con LINDORFF y PRIME, en los términos del artículo 12 de la LOPD. Además, los representantes de la entidad pusieron de manifiesto que el contrato de compraventa prevé una serie de supuestos en los que se puede producir la recompra de los créditos, tanto a instancia de los compradores como del vendedor. - Del análisis del contrato referido (del que figura una copia adjunta al acta de inspección) se desprende, entre otros extremos, lo siguiente: o La firma del contrato implicaba la entrega a los compradores por parte de los vendedores de un CD (del que se depositaba una copia en el Notario) en el que se recoge información relativa a los créditos cedidos referidos a fecha 31/07/2012 (fecha de corte) y actualizados a 30/11/2012. Los CD contienen, entre otras cosas, la siguiente información:  Identificación del saldo vivo de cada uno de los créditos y su desglose en capital pendiente de amortización, intereses y gastos judiciales (importe pendiente).  Identidad de cada uno de los deudores (DNI o CIF, nacionalidad, fecha de nacimiento, condición de titular o avalista).  Datos de contacto.  Fecha de antigüedad de la deuda.  Modalidad del producto del que trae causa la deuda.  Identificación de aquellos créditos cuyo pago se ha reclamado judicialmente (créditos judicializados) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 o Además, en la estipulación 10 del contrato se regula la “entrega de documentación e información de la cartera”, diferenciándose entre créditos judicializados (estipulación 10.1) y créditos no judicializados (estipulación 10.2). Respecto de estos segundos los vendedores se comprometen a entregar, entre otra documentación:  Copia escaneada de los contratos que mantengan escaneados en sus archivos. Además se prevé que los compradores puedan solicitar los contratos originales de los créditos comprados (en el caso de que las necesiten para entablar reclamaciones judiciales).  Certificados de saldo que recojan el saldo exigible de cada crédito a la fecha de celebración del contrato.  Extracto de los movimientos a la fecha de celebración del contrato. o En el contrato los vendedores manifiestan (estipulación 5.2), entre otras cosas, que:  Los créditos están vencidos y son exigibles.  No han exonerado a ninguno de los deudores, con anterioridad a la fecha de corte, de su obligación de pago (total o parcial).  Ningún crédito ha sido declarado inexistente o nulo por sentencia, resolución o laudo dictado por órgano competente.  Los créditos se encuentran libres de cargas y gravámenes o derechos de terceros.  A la fecha de celebración del contrato no existe investigación, demanda, litigio o disputa ante ningún tribunal judicial o arbitral. o El contrato establece (estipulación 3) una serie de supuestos de exclusión de los créditos a la fecha de celebración del contrato (inexistencia del crédito; el importe pendiente no coincide con el indicado en el CD; ilegitimidad del crédito; la operación trae causa de fraude; el crédito es concursal; fallecimiento de los deudores y avalistas…). En relación a tales supuestos, en la estipulación 4 del contrato se prevén unos mecanismos de exclusión. En concreto se regula el derecho de los compradores a exigir, durante los dos años posteriores a la firma del contrato (4.11), la sustitución por créditos nuevos o la recompra de todos aquellos créditos (a elección del vendedor, 4.1) que encajen dentro de los supuestos de exclusión establecidos. A tales efectos los compradores deben aportar la documentación o justificación razonablemente necesaria de la concurrencia del supuesto de exclusión (4.2.) o C/ Jorge Juan, 6 28001 – Madrid Por lo que a la comunicación de la cesión a los afectados se refiere, la estipulación 13 del contrato establece que ambas partes realizarán las comunicaciones pertinentes a los deudores relativas a la presente cesión de créditos, así como las requeridas por la normativa de protección de datos de carácter personal aplicable. Se establece que la comunicación, redactada conforme al modelo incorporado al anexo del contrato, será remitida en cada caso por el vendedor y el comprador de cada crédito www.agpd.es sedeagpd.gob.es 7/21 conjuntamente. A tales efectos, las partes contratarán una tercera empresa independiente de ellas a la que requerirán, conforme dicho modelo, la remisión de las notificaciones a los deudores. o Respecto al trámite a seguir en caso de reclamaciones recibidas de los afectados, en la estipulación 12 del contrato se establece que los compradores deberán notificar a los vendedores la existencia de la reclamación del tercero o de los deudores, adjuntando una copia de la reclamación así como una explicación lo más detallada posible sobre los hechos en los que se fundamenta e indicando la cantidad reclamada. Asimismo, se prevé la obligación de los compradores de no allanarse a la reclamación sin que previamente hayan recibido de los vendedores la confirmación de que accedan al allanamiento. En conexión a este aspecto, cabe reseñar igualmente que en la estipulación 8.5 del contrato se recoge la obligación de comprador de facilitar información al vendedor dentro del plazo de 15 días hábiles de aquellas quejas que reciban de los deudores que reúnan la condición de persona física, que puedan dar lugar a la aplicación del supuesto de exclusión por inexistencia del crédito a la fecha de celebración del contrato. - Accediendo al sistema de información de la entidad, se realizan las siguientes verificaciones utilizando como criterio de búsqueda el NIF ***NIF.2: o Se verifica que asociados al mismo aparecen los datos de A.A.A.. Esta persona aparece asociada al contrato identificado con el código ***CONTRATO.1, relativo a un préstamo en el que A.A.A. figura como titular (como avalista del préstamo aparece B.B.B., interesado en las actuaciones desarrolladas en el marco del E/04240/2013). La situación de la operación que consta es “cancelada”. Como fecha de apertura del préstamo consta 21/09/2004, y como fecha de vencimiento consta 22/12/2012. Los representantes de la entidad manifiestan que la fecha de vencimiento correspondería con la que se registra en el sistema para la cesión de la cartera. El sistema arroja un mensaje advirtiendo que este contrato forma parte de una cesión a terceros. o Accediendo a los detalles del contrato referido en el apartado anterior, se solicita consulta de los movimientos registrados en el préstamo. Se verifica que con fecha 23/04/2009 consta la anotación “calificación en mora” Se verifica que con fecha 22/12/2012 constan sucesivas anotaciones donde se refleja “cesión del crédito”. Tras solicitar acceso al sistema donde se gestionen los contactos que mantiene el banco con sus clientes, los representantes de la entidad manifestaron que no existe una aplicación específica que centralice y aglutine todos los contactos que puedan producirse con los clientes. Expusieron que como norma general las incidencias son resueltas a través de las sucursales o bien a través del servicio de atención al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 cliente, que cuenta con unos sistemas específicos a los que no se podía tener acceso en el momento de practicarse la inspección. o Accediendo al fichero conteniendo la información que se ha cedido a PRIME en relación a este caso concreto se comprueba lo siguiente:  que la deuda cedida ascendía a 13.510,15 €, derivada de un producto calificado como “crédito popular”  que la deuda fue calificada en mora con fecha 27/07/2005, y el crédito como fallido el 16/11/2010  que en el momento de la cesión no existía registrado ningún procedimiento judicial vinculado a esta deuda.  que la dirección de contacto comunicada a PRIME fue (C/............3). o Los inspectores actuantes solicitaron información relativa a posibles procedimientos judiciales abiertos en el pasado, finalizados o no, que pudieran haber afectado a las circunstancias de exigibilidad de la deuda reclamada. Al respecto los representantes de la entidad manifestaron que de la información a la que se accedía en el momento de la inspección no se desprendía que se hubiera registrado en los sistemas que el crédito estuviera judicializado en el momento de producirse la cesión. No obstante, ello no significa que no lo estuviera antes o con posterioridad. Como consecuencia, los inspectores actuantes requirieron a POPULAR para que remitieran a la AEPD la Información relativa al “historial de judicialización” del crédito objeto de cesión, exponiendo, en su caso, las consecuencias de la eventual judicialización del crédito (cualquiera que fuera el momento en que ésta se produjera) y cómo ha podido afectar a sus condiciones de exigibilidad. Al respecto, con fecha 02/06/2014 tuvo entrada en la AEPD un escrito remitido por POPULAR junto con el que se adjuntaba copia de la documentación en poder de la entidad relativa a la reclamación judicial del saldo deudor del contrato de préstamo nº ***CONTRATO.1 del que es titular el Sr. A.A.A.. Esa documentación hace referencia a un procedimiento monitorio iniciado a instancia de POPULAR en febrero de 2010. De ese procedimiento monitorio, señalado con el nº 217/2010 por el Juzgado de Primera Instancia e Instrucción nº 1 de Lora del Río, dimanó un juicio ordinario señalado por el mismo juzgado con el nº 148/2011, que concluyó con la Sentencia nº ***/13 de 22/02/2013, ya obrante en estas actuaciones al haber sido aportada por el denunciante, y cuyo fallo establece la desestimación de la demanda formulada por POPULAR contra B.B.B. y A.A.A.. SOLICITUD DE INFORMACIÓN A EQUIFAX IBÉRICA S.L. Con fecha 16/04/2014 se solicitó a EQUIFAX información relativa a A.A.A., NIF ***NIF.2, en relación a la inclusión de sus datos en ASNEF por deudas informadas por POPULAR y PRIME. De la respuesta recibida se desprende lo siguiente: - EQUIFAX expone que en el momento de contestar al requerimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 información formulado desde la AEPD (12/05/2014) los datos del afectado se encuentran incluidos en ASNEF a instancia de PRIME. Se aporta impresión de pantalla al respecto. - EQUIFAX expone que los datos del afectado fuero objeto de inclusión por parte de PRIME en dos ocasiones: o Con fecha de alta 11/04/2013, como consecuencia de una deuda por valor de 13.510,15 €. La inclusión fue comunicada mediante el envío de una carta de 13/04/2013 dirigida a (C/............3), Sevilla y que no consta como devuelta. La inclusión fue dada de baja el 23/08/2013. o Con fecha de alta 05/09/2013, como consecuencia de una deuda por valor de 13.510,15 €. La inclusión fue comunicada mediante el envío de una carta de 07/09/2013 dirigida a (C/............3), Sevilla y que no consta como devuelta. Como se señalaba ut supra esta inclusión permanece en situación de alta. Se aportan impresiones de pantalla al respecto. - EQUIFAX expone que los datos del afectado estuvieron incluidos en ASNEF a petición de POPULAR entre el 08/05/2009 y el 01/05/2012, siendo la cantidad informada en el momento de la baja 13.240,89 €, cantidad que figuraba como saldo impagado desde noviembre de 2010, momento en que consta la calificación como fallido. Se aportan impresiones de pantalla al respecto. - EQUIFAX expone que su Servicio de Atención al Cliente consta registrado un expediente tramitado en relación a esta persona, fruto del ejercicio del derecho de cancelación en noviembre de 2011 en relación a la inclusión informada por POPULAR. En su solicitud de cancelación el afectaba alegaba la existencia de un procedimiento judicial abierto al no reconocer “las cantidades reclamadas ni las formas en la que la entidad entienden su reclamación”. La solicitud fue desestimada al confirmar POPULAR la inclusión. Se aporta copia del expediente. SOLICITUD DE INFORMACIÓN A PROMARBA S.L. Con fecha 25/04/2014 se solicitó a PROMARBA S.L. (en adelante PROMARBA) información relativa a los contratos de prestación de servicios que, en su caso, hubiera suscrito con las entidades integrantes del grupo LINDORFF, PRIME y POPULAR. De la respuesta recibida se desprende lo siguiente: - Que con fecha 03/01/2013 PROMARBA suscribió un contrato de prestación de servicios con PRIME (representada por LINDORFF CONTACT CENTER) con el siguiente objeto: tratamiento de una base de datos de una cantidad de registros aún no determinada, con la que producir la impresión de cartas (…) ensobrado de la carta, clasificación, atado y transporte hasta el Servicio Postal seleccionado (…) recoger semanalmente los envíos que lleguen devueltos (…) grabación del código de barras junto con el motivo de la devolución y la generación de los correspondientes ficheros para informar a PRIME de los registros afectados (…) prestará el servicio de archivo físico de devoluciones y custodia. Se aporta copia del citado contrato, incluyendo el Anexo I, relativo a la política de seguridad y confidencialidad. - Que con fecha 20/05/2012 PROMARBA suscribió un contrato de prestación de servicios con LINDORFF CONTACT CENTER SLU con el siguiente objeto: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 tratamiento de una base de datos de una cantidad de registros aún no determinada con la que producir la impresión de las notificaciones que le sea encomendada, la confección de dichas notificaciones, clasificación, atado y transporte hasta el Servicio Postal seleccionado (…) recoger semanalmente cualquier notificación que llegue devuelta al citado Servicio Postal, así como la grabación del código de barras junto con el motivo de la devolución y la generación de los correspondientes ficheros para informar a Lindorff Contact Center SLU de los registros afectados. Se aporta copia del citado contrato, incluyendo el Anexo I, relativo a la política de seguridad y confidencialidad. - Que con fecha 20/05/2012 PROMARBA suscribió un contrato de prestación de servicios con LINDORFF ESPAÑA SL con el siguiente objeto: tratamiento de una base de datos de una cantidad de registros aún no determinada con la que producir la impresión de las notificaciones que le sea encomendada, la confección de dichas notificaciones, clasificación, atado y transporte hasta el Servicio Postal seleccionado (…) recoger semanalmente cualquier notificación que llegue devuelta al citado Servicio Postal, así como la grabación del código de barras junto con el motivo de la devolución y la generación de los correspondientes ficheros para informar a Lindorff España SL de los registros afectados. Se aporta copia del citado contrato, incluyendo el Anexo I, relativo a la política de seguridad y confidencialidad. - Que con fecha 20/05/2012 PROMARBA suscribió un contrato de prestación de servicios con LINDORFF HOLDING SLU con el siguiente objeto: tratamiento de una base de datos de una cantidad de registros aún no determinada con la que producir la impresión de las notificaciones que le sea encomendada, la confección de dichas notificaciones, clasificación, atado y transporte hasta el Servicio Postal seleccionado (…) recoger semanalmente cualquier notificación que llegue devuelta al citado Servicio Postal, así como la grabación del código de barras junto con el motivo de la devolución y la generación de los correspondientes ficheros para informar a Lindorff Holding SLU de los registros afectados. Se aporta copia del citado contrato, incluyendo el Anexo I, relativo a la política de seguridad y confidencialidad>>. TERCERO: En fecha 16 de diciembre de 2014 el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BANCO POPULAR ESPAÑOL, S.A. por la posible infracción del artículo 11.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD), tipificada como grave en el artículo 44.3.

  1. k)de la misma norma, este último de acuerdo con la redacción dada por la citada Ley 2/2011. CUARTO: En fecha 29 de diciembre de 2014 tuvo entrada un escrito del denunciante en el que solicitaba recibir información correspondiente al informe E/03409/2013, conocer la situación en que se encontraba la investigación y su resolución, en el caso de haberse producido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 QUINTO: En fecha 15 de enero de 2015 tuvo entrada en esta Agencia un escrito de la representación de BANCO POPULAR ESPAÑOL, S.A., previa ampliación de plazos de fecha 5 de enero de 2015 y trámite de audiencia en fecha 14 de enero de 2015, en el que se realizaban las oportunas alegaciones al Acuerdo de inicio más arriba citado, afirmando haber realizado una actuación conforme a derecho e inexistencia de infracción alguna, por lo que solicitaba el archivo de actuaciones y, de manera subsidiaria, la aplicación del apartado 5 del artículo 45 de la LOPD, en especial, por darse varios supuestos de los previstos en el apartado 4 de dicho artículo. En síntesis, se alegaba que el caso presente viene avalado por la excepción establecida en el apartado 2.
  2. a)del artículo 11 de la LOPD, pues los artículos 347 y 348 del Código de Comercio permiten la transferencia de créditos sin necesidad de consentimiento del deudor bastando ponerlo en su conocimiento; aquí un deuda existente, dado que la sentencia en cuestión no viene a declarar su inexistencia, como tampoco su extinción, simplemente viene a declarar que el banco demandante, por cuanto acreedor, no había liquidado correctamente la deuda. No obstante lo expuesto, se alegaba asimismo que, en cualquier caso, la supuesta infracción consistente en la cesión de datos de forma indebida estaría prescrita, pues la cesión se llevó a cabo el 12 de diciembre de 2012, como consta en el expediente en sus folios 147 y ss., y la notificación del Acuerdo de inicio del presente procedimiento se hizo en fecha 18 de diciembre de 2014, sobrepasando los dos años previstos como prescripción en el artículo 47 de la LOPD para las infracciones graves, como la infracción aquí imputada. SEXTO: En fecha 21 de enero de 2015 se inició un período de práctica de pruebas por un plazo de treinta días, según lo dispuesto en el artículo 17.1 del Real Decreto 1398/1993 de 4 de agosto, notificándose a las partes interesadas, practicándose las siguientes: Incorporar al expediente del presente procedimiento sancionador, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección (E/03242/2014 y E/05371/2013), consistente en escritos de denuncia y su mejora, informes de EQUIFAX IBÉRICA, S.L. (fichero ASNEF), de COBRALIA SERVICIOS INTEGRALES DE RECUPERACIÓN, S.L., de PRIME CREDIT 3, S.A. y de la Inspección de Datos de esta Agencia E/03242/2014 de fecha 25 de julio de 2014, con el Acta de Inspección E/05371/2013/I-01 de fecha 11 de abril de 2014 a la entidad BANCO POPULAR ESPAÑOL, S.A.; así como las alegaciones de BANCO POPULAR ESPAÑOL, S.A. de fecha 15 de enero de 2015 al Acuerdo de inicio citado más arriba. Todo ello con su correspondiente documentación adjunta. SÉPTIMO: Con fecha 5 de marzo de 2015 se formuló propuesta de resolución en el sentido de que por el Director de la Agencia Española de Protección de Datos se sancionase a BANCO POPULAR ESPAÑOL, S.A. con multa de 50.000 € (cincuenta mil euros) por la infracción del artículo 11.1 de la LOPD; tipificada como grave en el artículo 44.3.
  3. k)de dicha norma y de conformidad con lo establecido en el artículo 45. 2 y 4 de esa misma Ley Orgánica, estos últimos de acuerdo con la redacción dada por la Ley 2/2011. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 En su virtud se le notificó cuanto antecede a fin de que en el plazo de quince días hábiles pudiera alegar cuanto considerase en su defensa y presentase los documentos e informaciones que estimase pertinentes ante el Instructor del procedimiento, de acuerdo con el artículo 19.1 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto. En cumplimiento de lo dispuesto en el mencionado precepto, se acompañó una relación de los documentos obrantes en el procedimiento. OCTAVO: Dicha propuesta por tanto fue notificada en efecto a BANCO POPULAR ESPAÑOL, S.A. en fecha 9 de marzo de 2015, concediéndose el citado plazo para formular alegaciones, las cuales fueron presentadas en fecha 23 de marzo de 2015. Se reiteraban los argumentos ya expuestos en anteriores alegaciones y, en especial, se solicitaba la aplicación del artículo 45.5 de la LOPD de acuerdo con los principios del artículo 45.4 de la LOPD. HECHOS PROBADOS PRIMERO: Que D. A.A.A. manifestó a esta Agencia que la entidad BANCO POPULAR ESPAÑOL, S.A. le venía reclamando desde 2010 una deuda, fruto de la cual se incluyeron sus datos personales en ficheros de morosidad. Según el denunciante esa deuda fue objeto de una sentencia judicial que desestimaba las pretensiones de POPULAR (folio 77). SEGUNDO: Que en fecha 12 de diciembre de 2012 se formalizó la escritura de elevación a público del contrato de compraventa de créditos suscrito en esa misma fecha de 12 de diciembre de 2012 entre BANCO POPULAR ESPAÑOL, S.A. y BANCOPOPULAR-E, S.A.U. con LINDORFF HOLDING SPAIN, S.L.U. y PRIME CREDIT 3, S.A.R.L., por el que estas dos últimas entidades se subrogaron como parte compradora en la posición acreedora de los créditos en cuestión (folios 174 a 214); entre los que se encontraba el relacionado con el denunciante, en concreto, uno asociado al contrato identificado con el código ***CONTRATO.1, relativo a un préstamo en el que D. A.A.A. figura como titular y como avalista del préstamo aparece D. B.B.B. (folio 171). TERCERO: Que en el contrato detallado en el punto 2º anterior, de fecha 12 de diciembre de 2012 de cesión de cartera de créditos entre, de manera más concreta, PRIME y BANCO POPULAR ESPAÑOL, S.A., esta última entidad, como parte vendedora, manifestaba en su estipulación 5.2.xviii que a la fecha de celebración del contrato no existía investigación, demanda, litigio o disputa ante ningún tribunal judicial o arbitral en relación con las deudas, que de ser decidido en forma adversa al vendedor tuviese o pudiera tener efectos que impidiesen a éste cumplir con sus obligaciones (folio 185). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 CUARTO: Que de igual modo en el contrato detallado en el punto 2º anterior se recoge en su estipulación 3, de supuestos de exclusión, en su aparatado vii, que: “Cualquiera de los Créditos respecto de los que las Declaraciones y Garantías recogidas en la estipulación 5.2 no hubiera sido veraz o exacta” (folio 179). QUINTO: Que en el contrato detallado en el punto 2º anterior también se recoge en la estipulación 10 la obligación para el vendedor de entregar la documentación e información de la cartera, en especial, en relación con los Créditos judicializados, en su apartado 10.2, los datos relativos al procedimiento judicial, con un plazo máximo de dos meses desde la fecha de celebración del contrato si no se dispusiesen de todos o algunos de dichos datos identificativos de tal proceso judicial (folios 191 y 192). SEXTO: Que en la inspección realizada en fecha 11 de abril de 2014 a POPULAR por parte de los servicios de inspección de esta Agencia, Acta de Inspección E/05371/2013/I-01 (folios 170 a 173), se constató que estaba registrado en su sistema de información como fecha de apertura del préstamo el 21 de septiembre de 2004, y como fecha de vencimiento el 22 de diciembre de 2012, manifestando los representantes de la entidad presentes en dicha inspección que la fecha de vencimiento correspondería con la que se registraba en el sistema para la cesión de la cartera. Asimismo, se verificó que con fecha 23 de abril de 2009 constaba registrada la anotación “calificación en mora” y con fecha el 22 de diciembre de 2012 constan registradas sucesivas anotaciones en las que se reflejaba “cesión del crédito” asociadas a D. A.A.A. (folios 171, 172 y 221). SÉPTIMO: Que en la inspección realizada en fecha 11 de abril de 2014 a POPULAR ya citada en el punto 6º anterior los representantes de la entidad presentes manifestaron, a solicitud de los inspectores actuantes sobre información relativa a posibles procedimientos judiciales abiertos en el pasado, finalizados o no, que pudieran haber afectado a las circunstancias de exigibilidad de la deuda reclamada, que de la información a la que se accedía en el momento de la inspección no se desprendía que se hubiera registrado en los sistemas que el crédito estuviera judicializado en el momento de producirse la cesión. No obstante, ello no significa que no lo estuviera antes o con posterioridad (folios 172 y 173). OCTAVO: Que el denunciante recibió un escrito de fecha 3 de enero de 2013 remitido por PRIME CREDIT 3, S.A.R.L. y POPULAR, en el que se le informaba de que la deuda por valor de 13.510,15 €, que mantenía con POPULAR había sido adquirida por PRIME, que pasaba a ser el nuevo acreedor, informando que por ello sus datos personales habían sido cedidos a PRIME y eran incluidos en ficheros de su titularidad, de cuyo tratamiento se encargaría LINDORFF CONTACT CENTER y, finalmente, de que en caso de no proceder al pago sus datos serán incorporados en ficheros de información de solvencia patrimonial y crédito (folios 102 y 129). NOVENO: Que la Sentencia nº ***/13 del Juzgado de Primera Instancia e Instrucción nº 1 de Lora del Río, dictada con fecha 22 de febrero de 2013 en el Procedimiento Ordinario 148/2011, desestimó la demanda formulada por POPULAR contra D. B.B.B. y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 D. A.A.A., absolviendo a los demandados de todas las pretensiones formuladas en su contra (folios 58 a 65). En el Antecedente de Hecho Segundo se exponía que POPULAR solicitaba que se condenara a los demandados al pago de la cantidad de 14.698,66 €, más los intereses legales (folio 59). Por su parte, en el Fundamento Jurídico Cuarto se señalaba que “la parte actora no ha acreditado el momento del incumplimiento, el correcto vencimiento anticipado, ni la cantidad debida, siendo este último extremo indispensable para el dictado de una sentencia estimatoria”, al no acreditarse el destino de un ingreso de 2.187,32 € realizado por D. A.A.A. con cargo al préstamo (folios 62 a 63). DÉCIMO: Que en la sentencia detallada en el punto 9º anterior se recogía, en el Antecedente de Hecho tercero, que: “Contestada la demanda y convocadas las partes a una audiencia, se celebró en la fecha acordada, 29 de octubre de 2012, y pese a que las partes manifestaron estar en vía de acuerdo se procedió a la celebración de la Audiencia Previa por faltar cierta documentación a fin de lograr un acuerdo” (folio 59). UNDÉCIMO: Que por escrito de fecha 13 de abril de 2013 remitido por el fichero ASNEF-EQUIFAX se informó al denunciante de que sus datos personales habían sido incluidos en ASNEF por parte de PRIME con fecha de alta el 11 de abril de 2013, como consecuencia de una deuda por valor de 13.510,15 € (folio 130). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  4. g)en relación con el artículo 36 de la LOPD. II Por lo que respecta a la alegación hecha por BANCO POPULAR ESPAÑOL, S.A. sobre la apreciación de la prescripción de la infracción imputada, habrá que estar a lo dispuesto en el artículo 47 de la LOPD, que establece, en sus apartados 1, 2 y 3 lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 En la infracción imputada a POPULAR en el presente procedimiento sancionador, como se va a analizar con más detalle más abajo, el plazo de prescripción de la misma comenzaría a computarse el día en que se produjo la cesión de los datos personales del denunciante. Y, en el presente caso concreto, y pese a que fue en fecha 12 de diciembre de 2012 cuando se formalizó la escritura de elevación a público del contrato de compraventa de créditos (folios 174 a 214), en la inspección realizada a POPULAR por parte de los servicios de inspección de esta Agencia (Acta de Inspección E/05371/2013/I-01 - folios 170 a 173), se constató que estaba registrado en su sistema de información como fecha de vencimiento del préstamo el 22 de diciembre de 2012, manifestando los representantes de la entidad presentes en dicha inspección que la fecha de vencimiento correspondería con la que se registraba en el sistema para la cesión de la cartera. Asimismo, se verificó que con fecha de 22 de diciembre de 2012 constaban registradas sucesivas anotaciones en las que se reflejaba “cesión del crédito” asociadas a D. A.A.A. (folios 171, 172 y 221). En consecuencia, el plazo de prescripción de la misma comenzaría a computarse desde ese 22 de diciembre de 2012 (como fecha efectiva de la cesión de la deuda y, por ende, de los datos personales) y por lo tanto la infracción reprochada prescribiría el 22 de diciembre de 2014. La infracción imputada no habría prescrito, pues, el Acuerdo de inicio del presente procedimiento sancionador fue notificado a la entidad imputada en fecha 18 de diciembre de 2014 (folio 288). Por lo expuesto, hay que concluir que en la fecha de la notificación del Acuerdo de inicio del presente procedimiento sancionador no habían transcurrido los dos años de prescripción señalados en el artículo transcrito para las infracciones graves. En consecuencia, las referidas alegaciones deben ser desestimadas. III Se imputa a BANCO POPULAR ESPAÑOL, S.A. en el presente procedimiento sancionador la comisión de una infracción del artículo 11 de la LOPD “Comunicación de datos”, dispone: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
  5. a)Cuando la cesión está autorizada en una Ley.
  6. b)Cuando se trate de datos recogidos de fuentes accesibles al público.
  7. c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique... 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero cuando la información que se facilite al interesado no le permita C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquél a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “… consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En el presente caso, D. A.A.A. manifestó a esta Agencia que la entidad BANCO POPULAR ESPAÑOL, S.A. le venía reclamando desde 2010 una deuda, fruto de la cual se incluyeron sus datos personales en ficheros de morosidad. Según el denunciante esa deuda fue objeto de una sentencia judicial que desestimaba las pretensiones de POPULAR (folio 77). Recordemos que, como queda acreditado en el expediente, por escrito de fecha 3 de enero de 2013 PRIME CREDIT 3, S.A.R.L. y POPULAR informaron al denunciante que la deuda por valor de 13.510,15 €, que mantenía con POPULAR, había sido adquirida por PRIME, que pasaba a ser el nuevo acreedor, informando que por ello sus datos personales habían sido cedidos a PRIME y eran incluidos en ficheros de su titularidad, de cuyo tratamiento se encargaría LINDORFF CONTACT CENTER y, finalmente, de que en caso de no proceder al pago sus datos serían incorporados a ficheros de información de solvencia patrimonial y crédito (folios 102 y 129). Así, en dicho contrato de cesión de cartera de créditos entre PRIME y BANCO POPULAR ESPAÑOL, S.A. (folios 174 a 214) se encontraba el relacionado con el denunciante, en concreto, deuda asociada al contrato identificado con el código ***CONTRATO.1, relativo a un préstamo en el que D. A.A.A. figura como titular y como avalista del préstamo aparece D. B.B.B. (folio 171). POPULAR, como parte vendedora, manifestaba en su estipulación 5.2.xviii que a la fecha de celebración del contrato no existía investigación, demanda, litigio o disputa ante ningún tribunal judicial o arbitral en relación con las deudas, que de ser decidido en forma a adversa al vendedor tuviese o pudiese tener efectos que impidan a éste cumplir C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 con sus obligaciones (folio 185). Y de igual modo, se recogía en su estipulación 3, de supuestos de exclusión, en su aparatado vii, que: “Cualquiera de los Créditos respecto de los que las Declaraciones y Garantías recogidas en la estipulación 5.2 no hubiera sido veraz o exacta” (folio 179) y en la estipulación 10, la obligación para el vendedor de entregar la documentación e información de la cartera, en especial, en relación con los Créditos judicializados (apartado 10.2), los datos relativos al procedimiento judicial, con un plazo máximo de dos meses desde la fecha de celebración del contrato si no se dispusiesen de todos o algunos de dichos datos identificativos de tal proceso judicial (folios 191 y 192). Por otra parte, en la inspección realizada a POPULAR por parte de los servicios de inspección de esta Agencia, Acta de Inspección E/05371/2013/I-01 (folios 170 a 173), se constató que estaba registrado en su sistema de información como fecha de vencimiento del préstamo el 22 de diciembre de 2012, manifestando los representantes de la entidad presentes en dicha inspección que la fecha de vencimiento correspondería con la que se registraba en el sistema para la cesión de la cartera. Asimismo, se verificó que con fecha 23 de abril de 2009 constaba registrada la anotación “calificación en mora” y con fecha el 22 de diciembre de 2012 constan registradas sucesivas anotaciones en las que se reflejaba “cesión del crédito” (folios 171 y 172), esto es, y como se ha indicado ya con anterioridad, la cesión efectiva. Y, de igual modo, los representantes de POPULAR manifestaron, a solicitud de los inspectores actuantes sobre información relativa a posibles procedimientos judiciales abiertos en el pasado, finalizados o no, que pudieran haber afectado a las circunstancias de exigibilidad de la deuda reclamada, que de la información a la que se accedía en el momento de la inspección no se desprendía que se hubiera registrado en los sistemas que el crédito estuviera judicializado en el momento de producirse la cesión (folios 172 y 173). Pese a todo lo expuesto más arriba, por Sentencia nº ***/13 del Juzgado de Primera Instancia e Instrucción nº 1 de Lora del Río, dictada con fecha 22 de febrero de 2013 en el Procedimiento Ordinario 148/2011, desestimó la demanda formulada por POPULAR contra D. B.B.B. y D. A.A.A., absolviendo a los demandados de todas las pretensiones formuladas en su contra (folios 58 a 65). En el Antecedente de Hecho Segundo se exponía que POPULAR solicitaba que se condenara a los demandados al pago de la cantidad de 14.698,66 €, más los intereses legales (folio 59). Por su parte, en el Fundamento Jurídico Cuarto se señalaba que “la parte actora no ha acreditado el momento del incumplimiento, el correcto vencimiento anticipado, ni la cantidad debida, siendo este último extremo indispensable para el dictado de una sentencia estimatoria”, al no acreditarse el destino de un ingreso de 2.187,32 € realizado por D. A.A.A. con cargo al préstamo (folios 62 a 63). En esa sentencia también se recogía, en el Antecedente de Hecho tercero, que: “Contestada la demanda y convocadas las partes a una audiencia, se celebró en la fecha acordada, 29 de octubre de 2012, y pese a que las partes manifestaron estar en vía de acuerdo se procedió a la celebración de la Audiencia Previa por faltar cierta documentación a fin de lograr un acuerdo” (folio 59). Como consecuencia de la cesión de esa deuda incierta por parte de la entidad imputada, por escrito de fecha 13 de abril de 2013 remitido por el fichero ASNEFEQUIFAX se informó al denunciante de que sus datos personales habían sido incluidos en ASNEF por parte de PRIME con fecha de alta el 11 de abril de 2013, como consecuencia de una deuda por valor de 13.510,15 € (folio 130). Si bien el artículo 347 y 348 del Código de Comercio, puesto en relación con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 artículo 1.527 del Código Civil, como alega la entidad imputada, vendría en principio a habilitar la cesión de los datos asociados a la deuda en cuestión sin contar con el consentimiento del denunciante, y visto lo establecido en el citado apartado
  8. a)del artículo 11.1 de la LOPD, en el presente caso concreto, como se ha acreditado en expediente, la cesión implícita de datos personales en relación con el denunciante no se abría ajustado a los requisitos legales exigidos para ello, por lo que en consecuencia se habría producido una cesión de datos personales sin tal habilitación legal. Recordemos que el artículo 347 del Código de Comercio dice que: “Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia. El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste”. Y por su parte el artículo 348 de la misma norma establece que: “El cedente responderá de la legitimidad del crédito y de la personalidad con que hizo la cesión; pero no de la solvencia del deudor, a no mediar pacto expreso que así lo declare”. En consecuencia, BANCO POPULAR ESPAÑOL, S.A. facilitó por tanto a PRIME los datos personales del denunciante sin su consentimiento, ni contando con habilitación legal para ello como se ha expuesto más arriba, con infracción de lo estipulado en el artículo 11 de la LOPD. IV La LOPD en su artículo 44, apartado 3.k), define en su nueva redacción como infracción grave la conducta siguiente: “La comunicación o cesión de los datos de carácter personal sin contar con legitimación para ello en los términos previstos en esta Ley y sus disposiciones reglamentarias de desarrollo, salvo que la misma sea constitutiva de infracción muy grave”. BANCO POPULAR ESPAÑOL, S.A. facilitó por tanto a PRIME los datos personales del denunciante sin su consentimiento, ni contando con habilitación legal para ello como se ha expuesto más arriba, incurriendo en dicha infracción. V El artículo 45 de la LOPD, en sus aparatados 2 a 5, establece, según también la nueva redacción dada por la Ley 2/2011, que: «2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21
  9. a)El carácter continuado de la infracción.
  10. b)El volumen de los tratamientos efectuados.
  11. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  12. d)El volumen de negocio o actividad del infractor.
  13. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  14. f)El grado de intencionalidad.
  15. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  16. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  17. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  18. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  19. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  20. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  21. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  22. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  23. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» El nuevo apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Las citadas circunstancias se dan en el presente caso, lo que permite apreciar la existencia de motivos para la aplicación de la facultad contemplada en el artículo 45.5, en concreto, su apartado a), pues, como consta acreditado en el expediente, el denunciante recibió la carta de fecha 3 de enero de 2013 de BANCO POPULAR C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 ESPAÑOL, S.A., aunque en dicha carta se especificaba textualmente que el pago detallado se haría “salvo que su deuda haya sido reclamada judicialmente, debiendo en tal caso pagar la cuantía reclamada en el procedimiento judicial” (folio 5), una sentencia que desestimó la reclamación del banco, al no considerarse acreditado “el correcto vencimiento anticipado, ni la cantidad debida” (por todos folio 63). No obstante, recordar la especial diligencia y conocimiento de la normativa de protección de datos que se ha de exigir a las entidades profesionales cuando, como ocurre con la entidad imputada, el tratamiento de datos personales constituye parte habitual y esencial de su actividad. Las empresas que por su actividad están habituadas al tratamiento de datos personales deben ser especialmente diligentes y cuidadosas al realizar operaciones con ellos y deben optar siempre por la interpretación más favorable a la salvaguarda del derecho fundamental a la protección de datos (como de forma reiterada sostiene la Audiencia Nacional, por todas, sentencia de 29 de abril de 2010, R.771/2009). En el presente caso, por tanto, teniendo en consideración los criterios de graduación de las sanciones establecidos en el artículo 45.5, y en particular, su apartado a), al existir una cualificada disminución de la culpabilidad y de la antijuridicidad, procede imponer una multa de 6.000 € por la infracción cometida. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad BANCO POPULAR ESPAÑOL, S.A. multa de 6.000 € (seis mil euros) por la infracción del artículo 11.1 de la LOPD; tipificada como grave en el artículo 44.3.
  24. k)de dicha norma y de conformidad con lo establecido en el artículo 45 de esa misma Ley Orgánica, estos últimos de acuerdo con la redacción dada por la Ley 2/2011. SEGUNDO: NOTIFICAR la presente Resolución a BANCO POPULAR ESPAÑOL, S.A. y a D. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.